La crittografia a chiave pubblica di fronte agli interrogativi posti dai progressi dell'AI
La crittografia a chiave pubblica, l'insieme di metodi matematici che aiuta persone che non si conoscono a comunicare in modo sicuro online, potrebbe essere messa alla prova dai progressi dell'intelligenza artificiale (AI), secondo Wordfence. Il suo avvertimento riguarda la possibilità che un'accelerazione delle scoperte matematiche comprometta i presupposti su cui si basano le transazioni sicure sul web. La fonte non segnala alcuna violazione dimostrata della cifratura attualmente usata sul web, non identifica un algoritmo interessato e non annuncia una sostituzione d'emergenza.
A far scattare l'allarme è una pubblicazione di risultati matematici che Wordfence attribuisce a OpenAI. Secondo l'articolo, il giorno prima del resoconto di Wordfence, OpenAI ha pubblicato oltre 700 dimostrazioni matematiche in un repository GitHub, una raccolta online di file di progetto. Successivamente ne ha ritirate tre. Un'integrazione precisa che la raccolta comprende 722 risultati matematici. La fonte non spiega i ritiri né stabilisce che cosa implichino questi risultati per la possibilità di violare la cifratura.
Wordfence afferma che la raccolta include dimostrazioni LEAN, ragionamenti matematici espressi in una forma verificabile da un software. Questa verifica può offrire un elevato grado di certezza sul fatto che una conclusione discenda logicamente dalle premesse dichiarate. È però cosa diversa dal dimostrare che un risultato costituisca una scoperta inedita o che consenta di violare un sistema crittografico. L'articolo descrive frustrazione, rabbia e tristezza tra i matematici, accanto a reazioni eccezionalmente entusiaste, e rimanda a una discussione su Hacker News sul ruolo dell'AI nella matematica.
Un dato particolarmente sorprendente proviene da un post su X di un ex dipendente di OpenAI: l'affermazione secondo cui l'81% di tutte le scoperte matematiche dei tre anni precedenti sarebbe comparso in quella pubblicazione. Wordfence riprende questa affermazione, ma non fornisce alcuna metodologia o conteggio a sostegno. Va quindi considerata un'affermazione attribuita a una fonte, non una misurazione accertata del progresso matematico. Analogamente, l'articolo cita il timore di un crittografo della Johns Hopkins che la crittografia a chiave pubblica possa diventare inutilizzabile, non prove che ciò sia già accaduto.
Perché questo è importante per i proprietari di siti web? La crittografia a chiave pubblica utilizza chiavi pubbliche e private correlate, valori matematici che aiutano a stabilire la fiducia e a proteggere le comunicazioni senza dover prima condividere un segreto. La sua sicurezza dipende dal fatto che determinati problemi restino praticamente impossibili da risolvere per un attaccante con le risorse di calcolo e i metodi matematici disponibili. Wordfence descrive questa barriera in termini di diverse migliaia di anni di lavoro. Si tratta di un'illustrazione generale proposta dall'articolo, non di una durata di sicurezza misurata per ogni sito web o algoritmo crittografico, cioè una procedura matematica utilizzata per proteggere le informazioni.
La preoccupazione riguarda i cambiamenti nelle conoscenze matematiche, oltre a computer più veloci. Un nuovo metodo realmente efficace potrebbe rendere fattibile un attacco prima impraticabile. Le connessioni web sicure dipendono da protezioni crittografiche, quindi una grave debolezza nei metodi a chiave pubblica ampiamente utilizzati potrebbe minacciare la riservatezza e l'autenticità delle transazioni online. Wordfence usa i negozi WooCommerce e Shopify per illustrare la posta in gioco: le aziende dipendono dalla possibilità per i clienti di inviare in modo sicuro attraverso una rete i dati delle carte di credito e altri token di pagamento, elementi sostitutivi delle informazioni sensibili di pagamento. Il suo scenario di aziende costrette a fermarsi da un giorno all'altro rappresenta un'ipotesi estrema, non un'interruzione del servizio effettivamente segnalata.
L'articolo mette a confronto questa possibilità con i preparativi per il calcolo quantistico, un approccio al calcolo che potrebbe minacciare alcuni metodi crittografici attuali. Cita ML-KEM, il Module-Lattice-Based Key-Encapsulation Mechanism, un metodo per stabilire segreti condivisi progettato per resistere agli attacchi quantistici. La tesi di Wordfence è che la minaccia quantistica prevista abbia lasciato il tempo di sviluppare alternative, mentre progressi matematici inaspettatamente rapidi potrebbero lasciarne molto meno. Non dimostra che ML-KEM sia stato indebolito o che le dimostrazioni appena pubblicate ne compromettano la sicurezza.
Wordfence colloca inoltre l'avvertimento nel contesto della propria attività di sicurezza. Afferma di lavorare con Mythos e con modelli di OpenAI e Anthropic dotati di capacità nell'ambito della sicurezza informatica, confrontandone le abilità con quelle umane. Secondo Wordfence, il suo sistema Argus continua a individuare vulnerabilità estremamente gravi, punti deboli del software che gli attaccanti potrebbero sfruttare, molte delle quali sono in fase di segnalazione riservata. Questo processo offre agli sviluppatori interessati l'opportunità di risolvere i problemi prima che i dettagli diventino pubblici. Wordfence afferma inoltre che PRISM offre un'ampia copertura dell'ecosistema di plugin e temi WordPress, i componenti aggiuntivi e i modelli grafici utilizzati dai siti WordPress. Il resoconto non fornisce dettagli su singole falle, versioni interessate o correzioni.
L'articolo sostiene che le obiezioni alla matematica generata dall'AI non fermeranno gli sviluppatori concorrenti. Cita OpenAI, Anthropic, DeepSeek e Z.ai come aziende impegnate nella matematica e in altri problemi complessi per dimostrare le capacità dei propri modelli. Wordfence ipotizza che l'AI possa anche contribuire a creare algoritmi crittografici più robusti, se riesce a scoprire attacchi contro quelli esistenti. Si tratta di una risposta proposta, non di una garanzia dimostrata: i metodi sostitutivi dovrebbero comunque essere convalidati prima della loro adozione.
La sua raccomandazione infrastrutturale più concreta è la capacità di sostituire rapidamente gli algoritmi crittografici. Le applicazioni devono disporre di un percorso praticabile per adottare alternative convalidate, anziché dipendere indefinitamente da un metodo matematico fisso. Ai proprietari di siti web che non sviluppano questi sistemi, Wordfence raccomanda di seguire gli sviluppi della sicurezza informatica e di verificare ogni giorno la disponibilità di aggiornamenti software e di sistema. Riconosce che alcune modifiche potrebbero arrivare tramite aggiornamenti ordinari, mentre un approccio radicalmente diverso potrebbe richiedere più lavoro.
L'integrazione solleva un'accusa distinta e non confermata. Una persona che svolge ricerche sulla sicurezza di bitcoin, in un post su X, evidenzia quella che ritiene una quota insolitamente ridotta di progressi crittografici tra i 722 risultati, afferma di avere esperienza diretta della censura del governo statunitense sulla crittoanalisi quantistica accademica, cioè la ricerca su come attaccare la crittografia con metodi quantistici, e suggerisce che un intervento possa spiegare tale assenza. Il testo fornito non presenta prove che gli algoritmi attuali siano stati violati in segreto o che questa pubblicazione sia stata censurata. Questa speculazione non deve essere scambiata per un avviso di sicurezza.
Wordfence osserva che anche le proprie attività di commercio elettronico dipendono dalla cifratura a chiave pubblica e sostiene che una compromissione diffusa mobiliterebbe risorse e un coordinamento considerevoli per trovare una soluzione. Promette di tenere informati i propri clienti sulle modifiche necessarie. Per gli altri proprietari di siti, la risposta proporzionata consiste nel mantenere aggiornato il software, seguire le comunicazioni concrete dei fornitori di hosting e dei servizi di pagamento e distinguere le vulnerabilità verificate dalle previsioni. Questo articolo offre un motivo per mantenersi pronti ad aggiornare, non prove che i pagamenti sicuri online siano già stati compromessi.